Seri bağlı iki VPN geçidi: her biri gerçekte neye karar verir
Seri bağlı iki VPN aşaması iki ayrı izin kararı anlamına gelmelidir. Her geçidin neyi denetlediğini adlandırın, sonra içtekinin neyi reddettiğini test edin.
İki VPN'i zincirlemek genellikle ek şifreleme olarak satılır, oysa bu yaptığı en az ilginç şeydir. Gerçek ürün, başka bir sahibin başka bir kaynak kümesi üzerinde verdiği ikinci yetkilendirme kararıdır. İki aşama da aynı kimlik bilgisini kabul eder ve aynı hedeflere ulaşırsa, iç geçit fazladan gecikmeli bir süstür. Bu ikinci kararın işletme maliyetine değip değmediğine karar vermek, her geçidin gerçekte neyi doğruladığını adlandırmakla başlar.
Bir tünel, sonra ikinci bir karar
Dış geçit geniş bir soruyu yanıtlar: bu onaylı bir çalışan cihazı mı ve genel iç ağa ulaşabilir mi. İç geçit daha dar bir soruyu: bu kimlik bakım hakkını taşıyor mu ve bu belirli yönetim uç noktalarına ulaşabilir mi. Bunlar farklı sahipleri olan farklı sorulardır ve hiçbiri diğerini gerektirmez. İki aşamadan geçen bir yolun varlığı, ikincinin arkasında duranı kullanma yetkisi değildir. Uzak girişe ulaşmak bir yolun çalıştığını kanıtlar, daha fazlasını değil.
İlke eskidir ve hâlâ yok sayılır: ağ konumu kendi başına hiçbir şeyi savunmaz. NIST sıfır güven mimarisi özeti bunu açıkça söyler ve bir bağlantının nereden geldiğinden ya da ağın kime ait olduğundan doğan örtük güveni reddeder. Burada uygulandığında, iç girişe varmak kaynakları için bir ön koşuldur, asla onları kullanma izni değildir.
Her geçidin neyi doğruladığını yazın
Her aşama için denetlediği kimliği, izin verdiği hedefleri ve atlanabileceği koşulları kaydedin. Dış geçit meşru olarak olağan iç hizmetlere ve iç geçidin dinleyicisine izin verebilir, başka hiçbir şeye değil. İç geçit bir rol talebi isteyebilir ve yalnızca değişiklik kaydında adı geçen yönetim adreslerine izin verebilir. Uzak uçtaki uygulama, o rolün hangi işlemleri yapabileceği konusunda son sözü saklı tutar, bu yüzden zincir uygulama yetkilendirmesini değiştirmeden bir geçit ekler.
| Gate | Identity it checks | Destinations it permits | How it could be skipped | When it is removed |
|---|---|---|---|---|
| Outer gateway | Employee account plus a managed device posture | General internal services and the inner gateway's listener | Any alternate path to the same destinations, including a public listener | Ordinary work stops and the inner stage becomes unreachable |
| Inner gateway | A maintenance entitlement or role claim on that identity | The named management addresses in the change record | Direct routes from the outer domain to those addresses | Maintenance access ends while general access stays as it was |
İki eksiklik tasarımı sessizce bozar. Dış alan zaten her hassas hedefe doğrudan ulaşıyorsa, iç geçit zorunlu değil isteğe bağlıdır. Genel bir dinleyici veya ikinci bir özel yol aynı erişimi sunuyorsa, amaçlanan yol birkaç seçenekten biridir. Her kural kümesine bir sahip atayın ve sözleşmeleri hedef hizmetleri, izin verilen kaynak kimliklerini, özel DNS'i, adres çevirisini ve aktarım başarısız olduğunda kimin yanıt verdiğini adlandırsın. Dış ağda güvenilen bir adres, iç alanın yetkilendirmesinin yerini asla almamalıdır.
Ret durumlarını test edin, mutlu yolu değil
İki geçitten geçen başarılı bir bağlantı çok az şey kanıtlar, çünkü bu herkesin kullanıma alma sırasında test ettiği durumdur. İlginç durumlar bir aşamanın geçip diğerinin reddettiği durumlardır. Bunlardan üçü riskin çoğunu kapsar ve her birinin tartışmak yerine denetlenebilecek beklenen bir sonucu vardır.
Genel erişim onaylı ve hassas rol yokken, hassas hedef reddedilirken olağan iş sürmelidir. İki aşamayı da onaylayın ve erişilebilir küme değişiklik kaydında adı geçen bakım uç noktaları olmalıdır, daha geniş değil. Hak oturum ortasında geri alınırsa, kararlaştırılan oturum ilkesi ilgisiz genel erişimi koparmadan yürürlüğe girmelidir. Bu geri almanın var olan bir oturumu hemen mi yoksa bir sonraki yeniden kimlik doğrulamada mı sonlandırdığı, sözleşmenin zaten içermesi gereken bir ilke kararıdır. Kabul durumlarını yazan kişi, bir olay sırasında onları yorumlaması gereken kişi değildir.
curl --fail --silent --max-time 5 https://maint.corp.internal/health || echo "denied as expected"Eklediğiniz bağımlılıkları sayın
Her ek aşama başarısız olabilecek bir bileşen ve dış tünelin içine doğru şekilde yerleşmesi gereken bir yol ekler. Kısmi arıza sırasında dış yol ayakta kalırken iç yol ulaşılamaz olur, bu yüzden kullanıcı hiç yanıt vermeyen bir hizmetin yanında sağlıklı bir VPN simgesi görür.
Yolları ve engelleme kurallarını yalnızca normal durumda değil arıza sırasında da denetleyin. Dış tünelin ittiği varsayılan yol, iç geçidin kendi adresini yakalayabilir ve bu ikinci aşamayı kurulan ve sonra düşen bir bağlantıya dönüştürür. İç tünel yokken neyin engelli kalması gerektiğini kaydedin, çünkü çevresindeki kazara bir geri dönüş temiz bir kesintiden daha kötüdür. İki sıçramada aynı sonda biçimini kullanın, böylece her biri varsayılmak yerine ölçülür. İki bağlı durum göstergesi ne iç içe geçmeyi ne de yalıtımı kanıtlar.
İkinci geçidin size satın alamayacağı şey
İki geçidin bir kimlik bilgisini, bir sertifika yetkilisini veya bir yönetim düzlemini paylaşıp paylaşmadığını sorun. Paylaştıkları yerde en önemli arıza kipleri de paylaşırlar ve ikinci aşama görünüşte eklediği bağımsızlıktan daha pahalıdır. Ayrı şifreleme oturumları ayrı yönetimsel denetimler yaratmaz.
İç geçidi, söyleyip test edebileceğiniz bir gerekliliği, örneğin dış alanın hiç denetlemediği bir rolü uyguladığı sürece tutun. Tek işi aynı kimliği aynı hedeflere karşı yeniden doğrulamak olduğunda kaldırın. Her durumda gerekliliği, sahibi ve arıza davranışını birlikte kaydedin, böylece bir sonraki inceleme diyagramı değil gerekliliği tartışsın.